译者|刘涛评论|孙淑娟多因素认证推送通知太多？您可能会成为黑客使用MFA疲劳攻击的目标。越来越多的身份验证信息盗窃事件迫使公司实施多因素身份验证（MFA），以保护员工免受密码盗窃的严重后果。但黑客现在正在进行MFA疲劳攻击以绕过这一额外的保护层。那么，什么是MFA疲劳攻击？这些攻击如何运作？你能做些什么来保护自己？什么是MFA疲劳攻击？MFA疲劳攻击涉及使用MFA推送通知反复攻击帐户所有者，直到他们心理崩溃并最终同意登录请求。一旦MFA请求获得批准，黑客就可以访问用户的帐户并随意滥用它。这种攻击的主要目的是发送源源不断的MFA推送通知，导致帐户所有者疲劳。在适当的时候，这种MFA疲劳会使帐户所有者感到沮丧或被迫同意登录请求以停止MFA推送通知。MFA疲劳攻击的工作原理随着越来越多的应用程序和服务采用多因素身份验证，批准MFA推送通知可能成为一项例行任务，因为帐户所有者每天需要多次批准MFA请求。最终，MFA推送通知的每日批准可能会让账户所有者措手不及。此外，持续不断的MFA通知冲击会使帐户所有者疲惫不堪，促使他们批准登录请求只是为了避免通知打扰他们。由于账户持有人经常在他们的智能手机上使用身份验证应用程序，黑客可以全天候攻击这些用户以削弱他们的心理防御。MFA疲劳攻击会发生什么？MFA疲劳攻击的第一步是获取用户登录凭证。破解密码的常用方法有很多，包括钓鱼邮件、网络爬虫和暴力破解等。一旦攻击者获得了用户的登录凭据，他们就会使用双因素身份验证提示攻击用户。攻击者想要：用户将在登录尝试时收到错误消息。持续不断的自动化MFA攻击会让用户感到疲倦。通常，疲劳攻击与社会工程和MFA相结合可以使攻击成功。例如，目标用户收到一封网络钓鱼电子邮件，要求用户批准MFA请求。网络钓鱼电子邮件还可以告诉目标，随着新的安全系统可用，他们可能会在接下来的几天内收到一连串的MFA请求。该电子邮件还指出，一旦帐户所有者批准登录，MFA请求将停止。如何防止MFA疲劳攻击以下是一些防止MFA疲劳攻击的措施：1.启用附加关联在MFA请求中启用附加关联可以提供更好的安全性并保护您免受MFA疲劳攻击。MFA请求中的附加关联可帮助您了解哪个帐户触发了MFA通知、尝试登录的时间、用于尝试登录的设备以及尝试登录的位置。如果您在未登录帐户时看到从不熟悉的位置或设备触发了多个MFA请求，则可能表明威胁参与者正试图向您发送垃圾邮件。如果该帐户绑定到公司网络，您应该立即更改此帐户的密码并通知您的IT部门。许多MFA应用默认启用此功能。如果您的身份验证器应用程序不显示链接内容，请检查应用程序的设置以查看它是否有允许链接内容的选项。2.采用基于风险的认证使用基于风险的认证功能身份认证程序有助于抵御MFA疲劳攻击。该应用程序检测和分析威胁信号，并根据已知的攻击模式调整安全要求。已知的威胁模式包括不寻常的登录尝试位置、重复登录失败、MFA推送骚扰等。检查您的MFA应用程序是否提供基于风险的身份验证并保护它免受MFA推送垃圾邮件攻击。3、实现FIDO2认证。任何采用FIDO2认证的公司都可以防止MFA疲劳攻击。FIDO2为用户提供基于生物识别的较短密码身份验证和多因素身份验证。由于您的登录凭据永远不会离开您的设备，因此它消除了被盗的风险，使威胁行为者无法执行MFA通知垃圾邮件。4.禁用推送通知作为身份验证方法MFA推送通知功能的目的是提供简单易用的功能。帐户所有者只需单击“是”或“允许”即可登录其帐户。MFA疲劳攻击利用了身份验证的这一特性。在验证器应用中禁用这些简单的推送通知作为验证方法可以有效提高MFA的安全性。以下是一些可用于验证MFA请求的方法：数字匹配。挑战与回应。基于时间的一次性密码使用数字匹配或一次性密码作为验证方法的优点是用户不会意外批准他们需要必要信息来完成验证过程的MFA要求。检查您的身份验证应用程序以查看哪些MFA验证功能可用，而不是提示用户点击“是”或“允许”以批准登录尝试的简单推送通知。5.限制身份验证请求限制身份验证器应用程序中的登录请求数量有助于防止即时轰炸或MFA疲劳。但并非所有验证器都提供此功能。检查您的MFA身份验证器是否允许您限制身份验证请求；之后，该帐户将被冻结。6.围绕MFA传播安全意识如果您经营一家公司，防止MFA疲劳攻击的最佳方法是安全意识培训。确保您的员工知道MFA疲劳攻击发生时的情况，以及发生时该怎么做。此外，他们应该能够发现要求他们批准MFA请求的网络钓鱼电子邮件。定期对员工进行最佳网络安全实践培训可以大大保护个人账户。不要落入为您的帐户增加额外安全层的多重身份验证的陷阱。即使威胁行为者可以访问您的登录凭据，它也会保护您的帐户。但是您仍然应该小心MFA疲劳攻击。这会很烦人，但请不要屈服。译者介绍刘涛，社区编辑，某大型央企系统在线检测管控负责人。原标题：什么是MFA疲劳攻击以及如何防范？，作者：SANDEEPBABU
